45、Active Directory Membership Provider与角色管理器的使用与配置

Active Directory Membership Provider与角色管理器的使用与配置

1. ActiveDirectoryMembershipProvider概述

ActiveDirectoryMembershipProvider可用于AD和ADLDS目录存储，实现了Membership API的大部分功能，但不跟踪在线用户，也不支持密码检索。在复杂的域环境中，使用该提供程序前需要进行规划。

当与AD一起使用时，它可以在单个域或域内的容器范围内工作。在多域场景中，每个需要使用的域都需要配置至少一个提供程序实例。对于ADLDS，提供程序始终在应用程序分区的上下文中工作，也可以配置特定容器。

选择工作的域和/或容器后，需要决定支持的用户名类型。对于ADLDS，Membership功能中的用户名始终映射到目录中的userPrincipalName属性；对于Active Directory，可以选择使用userPrincipalName或sAMAccountName属性。

2. 在部分信任环境中使用ActiveDirectoryMembershipProvider

之前的示例都是在完全信任环境中运行的。如果在部分信任环境中直接使用该提供程序，会失败。当将ASP.NET应用程序的信任级别降至高信任时，会出现权限请求失败的错误。

解决方法有两种：
- 方法一：添加权限到信任策略文件
- 向适当的ASP.NET信任策略文件添加DirectoryServicesPermission（或创建具有该权限的自定义信任策略）。
- 此方法易于实现，但安全性较低，